Світ агентного ШІ зіткнувся з новою загрозою, яка експлуатує фундаментальну слабкість великих мовних моделей (LLM) — їхню схильність до галюцинацій. Йдеться не про вигадані факти у відповідях, а про створення цілих каналів для доставки шкідливого коду. Дослідники виявили клас атак, що отримав назву Adversarial HalluSquatting, який перетворює помилки моделі на інструмент для компрометації цілих систем.
Як працює HalluSquatting
Суть атаки проста та елегантна. Коли ШІ-агент отримує команду, наприклад, клонувати популярний репозиторій, він має самостійно визначити точний URL. Якщо модель не знає правильного ідентифікатора (особливо для нових проєктів), вона з високою ймовірністю «вигадає» схожий. Зловмисник, заздалегідь проаналізувавши поведінку моделі, реєструє ці вигадані імена на GitHub або інших платформах і розміщує там шкідливі інструкції. Коли агент згодом звертається до цієї адреси, він підхоплює шкідливий ресурс як справжній.
На відміну від традиційних ін'єкцій промптів, цей метод не вимагає прямої взаємодії з жертвою. Достатньо один раз опублікувати шкідливий ресурс у публічному місці та чекати, поки агент сам до нього звернеться. Один скомпрометований ресурс може призвести до зараження тисяч машин.
Результати тестів: масштаб катастрофи
Під час понад 14 000 запусків із використанням шести базових моделей (Gemini 2.5 Flash, GPT-5.1, Sonnet 4.5 та ін.) були отримані вражаючі, але тривожні дані. Для нових репозиторіїв із GitHub Trending середній рівень галюцинацій склав 92,4%. У 53 із 60 комбінацій «репозиторій — модель» система жодного разу не вказала правильного власника. Для старих проєктів, присутніх у навчальних даних, цей показник впав до 0,9%. Найзручніший для атаки тип галюцинації — коли модель ставить назву репозиторію в поле власника (repo/repo) — зустрічався у 27% запусків, тобто 1602 рази.
Реальні атаки на додатки
Коли дослідники перейшли від базових моделей до робочих додатків (Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI та ін.), результати виявилися ще більш лякаючими. End-to-end атака спрацьовувала у 20–65% запусків залежно від додатка та моделі. Особливо вирізнилася платформа OpenClaw: з моделлю Sonnet 4.6 вона показала 100% успіху як за викликом вбудованих інструментів, так і за віддаленим виконанням коду (RCE).
Окремий блок дослідження був присвячений атакам через навички (skill squatting) на маркетплейсі ClawHub. Зі 140 запусків 127 (90,7%) призвели до ідентифікатора, який міг бути зареєстрований зловмисником. Експеримент з ексфільтрацією контексту дав 100% успіху, а сценарій, за якого скомпрометований пристрій сам підключається до сервера атакуючого, спрацював у 88% випадків.
Мій аналіз показує, що ми стоїмо на порозі нової ери кіберзагроз, де ШІ-агенти стають не лише інструментами, але й вразливими точками входу. Поточні заходи захисту, такі як веб-пошук перед клонуванням, допомагають лише частково: навіть при його використанні 6,6% результатів можуть бути галюцинаціями. Платформи на кшталт GitHub та ClawHub мають взяти на себе відповідальність за резервування часто вигадуваних імен, а розробникам ШІ-додатків необхідно впроваджувати обов'язкову верифікацію всіх зовнішніх ресурсів перед їх завантаженням. Ігнорування цієї загрози може призвести до створення глобальних ботнетів, керованих через галюцинації.